Le criblage des sanctions est la diligence la plus visible d'un dispositif LCB-FT : c'est elle qu'un contrôleur vérifie en premier, et c'est elle qui expose le plus en cas de manquement. Un gel des avoirs non détecté engage la responsabilité du professionnel dès la première opération (art. L. 562-4 du Code monétaire et financier). Pourtant, les solutions du marché se ressemblent toutes sur la plaquette : « listes mondiales », « temps réel », « intelligence artificielle ». Cette grille en dix critères sert à poser les bonnes questions avant de signer, que vous soyez notaire, avocat, commissaire de justice, commissaire-priseur, courtier en assurance ou conseiller en gestion de patrimoine.
Les 10 critères en un tableau
| # | Critère | La question à poser | Ce qui disqualifie |
|---|---|---|---|
| 1 | Listes couvertes | Lesquelles, nommément, et laquelle fait foi en France ? | Le registre national des gels absent, ou un agrégat sans détail des sources |
| 2 | Fraîcheur des données | Quel délai entre la publication officielle et la mise à jour ? Où le voit-on ? | Aucune date visible, mise à jour hebdomadaire |
| 3 | Qualité de la correspondance | Comment sont gérés translittérations, noms composés, alias, dates de naissance ? | Un moteur « exact » seulement, ou aucune explication du score |
| 4 | PPE et proches | Quelle source pour les personnes politiquement exposées, avec quel périmètre familial ? | Aucune source française (HATVP) ni notion de proche ou d'associé |
| 5 | Preuve opposable | Que reste-t-il, cinq ans plus tard, de chaque criblage ? | Un écran sans export, un PDF sans horodatage ni empreinte |
| 6 | Qualification des alertes | Peut-on écarter un faux positif avec justification tracée et auteur identifié ? | Une case à cocher sans motif, ou un statut modifiable sans trace |
| 7 | Surveillance continue | Le client est-il recriblé à chaque mise à jour des listes, avec alerte sur les nouveautés ? | Un criblage à l'entrée en relation seulement |
| 8 | Intégration | Existe-t-il une API documentée, des webhooks, un environnement de test ? | Une saisie manuelle uniquement, ou une API sans documentation publique |
| 9 | Hébergement et sous-traitance | Où sont les données, qui les traite, sous quel contrat ? | Hébergement hors Union européenne, sous-traitants non listés, pas de DPA |
| 10 | Coût réel | Que coûte un criblage, un utilisateur, une intégration, une reprise de portefeuille ? | Un prix par « fiche » sans définition, des frais d'API cachés |
Les sections suivantes détaillent chaque critère, avec ce que dit le texte et ce qu'attend le contrôleur.
1. Les listes couvertes, nommément
Un professionnel assujetti en France doit vérifier au minimum le registre national des gels tenu par la Direction générale du Trésor, qui consolide les mesures nationales, européennes et onusiennes applicables sur le territoire. Les listes de l'Union européenne, de l'ONU et de l'OFAC américain complètent utilement, notamment pour les clients étrangers ou les opérations transfrontières.
Demandez la liste exacte des sources et, pour chacune, le mode d'obtention : fichier officiel téléchargé directement, ou base intermédiaire d'un agrégateur. Un agrégateur peut être excellent, mais vous devez savoir ce qu'il contient. Une solution qui ne cite pas le registre DG Trésor comme source à part entière n'est pas conçue pour le droit français.
2. La fraîcheur, prouvée et visible
Une mesure de gel s'applique dès sa publication au Journal officiel de l'Union européenne ou par arrêté ministériel. Entre cette publication et votre écran, chaque jour compte. Exigez une date de dernière mise à jour affichée pour chaque liste, consultable par l'utilisateur, et une fréquence de rafraîchissement quotidienne au moins.
Une bonne pratique : demander une démonstration de l'écran « état des listes » avant de parler tarif. S'il n'existe pas, la fraîcheur n'est pas un engagement, c'est une promesse.
3. La qualité de la correspondance
C'est le cœur technique, et le plus difficile à évaluer sur une plaquette. Les noms figurant sur les listes sont translittérés depuis l'arabe, le cyrillique ou le persan, avec plusieurs graphies. Les clients français ont des noms composés, des particules, des prénoms multiples. Un moteur qui ne compare que l'orthographe exacte manque des cibles ; un moteur trop large noie l'utilisateur sous les faux positifs.
Testez avec vos propres cas : un nom composé avec particule, un prénom inversé avec le nom, un alias connu, deux homonymes avec des dates de naissance différentes. Demandez comment le score est calculé et s'il est expliqué à l'écran. Le contrôleur ne vous reprochera pas un faux positif bien traité ; il vous reprochera un vrai positif manqué.
4. Les personnes politiquement exposées
L'article L. 561-10 du CMF impose des mesures de vigilance complémentaires dès que le client, son bénéficiaire effectif ou un proche est une PPE. Deux sources font la différence : la HATVP pour les responsables publics français, et une base internationale pour les mandats étrangers. Vérifiez aussi le périmètre : membres de la famille, personnes connues pour être étroitement associées, et la durée pendant laquelle une ancienne PPE reste considérée comme telle.
5. La preuve opposable à cinq ans
L'article L. 561-12 du CMF impose de conserver cinq ans les documents relatifs aux diligences. Pour un criblage, la preuve utile comprend : la date et l'heure, les listes interrogées et leur version, les paramètres de recherche, le résultat détaillé, la décision prise et son auteur. Un PDF horodaté, avec une empreinte vérifiable et une archive immuable, est la forme la plus simple à produire lors d'un contrôle. Un historique consultable uniquement à l'écran, dépendant de l'abonnement, ne l'est pas.
6. La qualification des alertes
Une alerte n'a de valeur que si elle est traitée. Le professionnel doit pouvoir marquer une correspondance comme faux positif, confirmée ou transmise, avec une justification écrite, l'identité de celui qui décide et l'horodatage. Cette décision doit être traçable dans un journal que personne ne peut modifier après coup. C'est aussi ce qui protège le professionnel : un faux positif écarté avec motif est une diligence ; un faux positif ignoré est un manquement.
7. La surveillance continue
Cribler à l'entrée en relation ne suffit pas. Les listes changent chaque semaine, et un client irréprochable en janvier peut y figurer en juin. L'article L. 561-6 impose une vigilance constante sur la relation d'affaires. Concrètement, la solution doit recribler automatiquement le portefeuille à une fréquence adaptée au niveau de risque et ne remonter que les nouveautés par rapport au dernier passage, avec une alerte au responsable et une trace de chaque recriblage.
8. L'intégration à votre outil métier
Un criblage réalisé dans un logiciel séparé finit par ne plus être fait. Vérifiez l'existence d'une API publique, documentée, avec un environnement de test ouvert aux intégrateurs, des webhooks pour être notifié d'une correspondance ou d'un nouveau hit, et un journal des appels pour le support. Pour un office ou un cabinet équipé d'un logiciel de rédaction d'actes ou de gestion de portefeuille, c'est le critère qui décide de l'usage réel.
9. Hébergement, sous-traitants, contrat
Les données de vigilance sont des données personnelles sensibles au sens du RGPD : identité, nationalité, exposition politique, soupçons. Exigez un hébergement dans l'Union européenne, la liste nommée des sous-traitants, un accord de traitement des données signé, et une politique de conservation alignée sur les cinq ans du CMF, ni plus ni moins. Demandez aussi ce qui se passe à la fin du contrat : exportez-vous vos preuves ?
10. Le coût réel
Comparez à périmètre égal : une personne criblée sur toutes les listes est un criblage, quel que soit le nombre de correspondances renvoyées. Certaines offres facturent la ligne de résultat, ce qui rend le coût imprévisible. Ajoutez le prix par utilisateur, celui de l'intégration, celui d'une reprise initiale de portefeuille, et celui de la surveillance continue, souvent vendue à part. Enfin, un prix bas sans preuve opposable coûte cher au premier contrôle.
Comment Conformitiel répond à ces dix critères
- Listes : registre national des gels DG Trésor, Union européenne, ONU, OFAC, HATVP, OpenSanctions, complétées par le BODACC pour les personnes morales et une recherche de presse défavorable.
- Fraîcheur : état et âge de chaque liste visibles, mise à jour quotidienne, disjoncteur si une source ne répond plus.
- Correspondance : score expliqué, noms composés et inversions gérés, date de naissance et nationalité prises en compte.
- PPE : HATVP et OpenSanctions, avec propagation automatique sur le niveau de risque de la fiche.
- Preuve : chaque criblage produit un PDF scellé, archivé en stockage immuable cinq ans, horodaté RFC 3161, vérifiable publiquement par son code.
- Qualification : faux positif, confirmé, escaladé, avec justification, auteur et journal chaîné.
- Surveillance continue : recriblage périodique de tout le portefeuille, alertes sur les seules nouveautés, recalcul automatique du niveau de risque de la fiche.
- Intégration : API documentée, environnement sandbox, webhooks, journal des appels.
- Hébergement : France, sous-traitants publiés, DPA en ligne, conservation cinq ans.
- Coût : un criblage est une personne criblée, tous registres compris.